A、当被病毒首次被运行时，病毒修改KERNEL32.DLL，替换了与文件操作的有关函数，这样得以驻留内存，被接管函数如下：
CopyFileA CopyFileW
CreateFileA CreateFileW
DeleteFileA DeleteFileW
MoveFileA MoveFileExA MoveFileW MoveFileExW
GetFileAttributesA SetFileAttributesW
SetFileAttributesA SetFileAttributesExA
CreateProcessA CreateProcessW

B、检测并结束下列进程：
_AVP32.EXE, _AVPM.EXE, ALERTSVC.EXE, AMON.EXE, AVP32.EXE, AVPM.EXE,
N32SCANW.EXE, NAVAPSVC.EXE, NAVAPW32.EXE, NAVLU32.EXE, NAVRUNR.EXE,
NAVWNT.EXE, NOD32.EXE, NPSSVC.EXE, NSCHEDNT.EXE, NSPLUGIN.EXE, SCAN.EXE,
SMSS.EXE

C、病毒在11月25号发作，发作时感染任意类型被操作的文件，并清除cmos内容，用垃圾数据填充硬盘，擦除cmos的Flash记忆体(和cih病毒操作方式相同)。

D、这个版本还捆绑了一个funlove蠕虫，同时带有下列字符串：
T-2000 / Immortal Riot

E、病毒通过打开下列句柄检测是否被跟踪：
\\ntice \\.ice
如果发现被跟踪也将执行上述破坏代码。